Roles

Roles

Los nombres de los cargos cambian entre equipos. Lo que debe quedar claro es quién decide, quién ejecuta y cuándo se escala; sin eso, hasta una party bien equipada se pisa las habilidades. (￣▽￣;)

CSIRT (Computer security incident response teams)

es el grupo especializado en manejo de incidentes y respuesta. Su objetivo es el de manejar incidentes, proveer servicio,recursos para la respuesta y recuperación y prevenir futuros incidentes. CSIRT debe colaborar funcionalmente con todos los departamentos.

Roles internos:

• Analista de seguridad

  • Analizar y clasificar alertas
  • Investigar causa raíz
  • Escalar alertas a superiores o resolveras si no es necesario

• Responsable técnico

  • Gestionar aspectos técnicos del proceso (parches/actualizaciones)
  • Según la causa raíz, crear e implementar estrategias para contener, erradicar y recuperar.
  • Colaborar con otros equipos para asegurar la integridad del negocio

• Coordinador de incidentes

  • Coordinar tarea con deptos pertinentes

Estos roles pueden variar según la organización

SOC (Security Operations Center)

Unidad organizativa dedicada a monitorear redes, sistemas y dispositivos en busca de amenazas o ataques. Suelen trabajar de forma independiente y/o dentro del CSIRT. Trabajan en conjunto con el blue team en algunas tareas.

Un ejemplo de organización usa tres niveles de análisis; no es obligatorio ni todos los SOC asignan las mismas funciones:

• Tier 1, SOC ANALYST L1

  • Monitoreo, revisión y priorizar alertas según gravedad
  • Crear y cerrar alertas utilizando tickets
  • Escalar tickets a L2 y L3

• Tier 2, SOC ANALYST L2

  • Investigación más profunda de los tickets escalados por L1
  • Configurar y perfeccionar herramientas
  • Reportar al lead.

• Tier 3, SOC ANALYST L3 / especialista

  • La función de lead puede combinarse con este nivel o existir como puesto separado
  • Explorar métodos de detección más avanzados, como análisis forenses
  • Reportar al manager.

• Manager

  • Contratación, evaluación y entrenamientos de nuevos miembros
  • Métricas y gestionar rendimiento del equipo
  • Desarrollo de informes de incidentes, auditorías, normativas, etc
  • Comunicación con las partes interesadas

También hay más especializados:

• Forense (usualmente L2/L3)
  • Recopilación, conservación y analizar pruebas digitales relacionadas con incidentes de seguridad
• Threat hunter (usualmente L3)
  • Detección, analisis y defensa contra nuevas amenazas

Véase también

• Triage — Clasificación y escalado de alertas entre equipos.

Los cargos son ejemplos de reparto local, no una estructura universal. FIRST CSIRT Services Framework organiza servicios y capacidades, no impone esos títulos.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: bd180fb71cae          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+